O dinheiro só veio depois da crise. Após o Heartbleed, uma dezena de empresas se comprometeu, cada uma, com US$ 100.000 por ano durante três anos, pela Core Infrastructure Initiative, e dois desenvolvedores do OpenSSL passaram a trabalhar em tempo integral.
Voltar à tendência do dia: Duas falhas no PHP deixam estranhos tomarem sites; alguns saíram do ar por precaução
Ranking Poly · da tendência do dia
As piores falhas de segurança da internet: Log4j, Heartbleed, PHP 2026
Antes do Heartbleed, a biblioteca de criptografia por trás de boa parte dos servidores HTTPS da web vivia com cerca de US$ 2.000 por ano em doações. Sete anos depois, o Log4Shell, com nota máxima 10, foi atacado pelo menos oito dias antes do seu aviso público.
- Nº 1: Log4Shell (Log4j, CVE-2021-44228)
- 10 posições
01Lista final
As IAs líderes montaram cada uma a sua lista de dez, de forma independente. Aqui está um resultado fácil de conferir: cada posição tem um motivo, uma fonte e a lista das IAs que a incluíram.
Ordem: da maior para a menor concordância entre as IA.
Uma etiqueta forte significa que essa IA pôs o item na sua lista. Uma esmaecida, que não pôs.
- 1
Log4Shell (Log4j, CVE-2021-44228)
Nota 10,0, a máxima, sem precisar de senha. Atacada desde 1º de dezembro de 2021, oito dias antes do aviso. Mantenedores não remunerados: as fontes dizem 3 ou 16 voluntários.
Incluíram: Claude, Meta, Nemotron, Gemini. Não incluíram: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
O que cada IA notou 4
- Claudeposição 1
A Cloudflare viu uma exploração bem-sucedida em 1 de dezembro de 2021, pelo menos nove dias antes do aviso público, e o código era mantido por uma equipe de voluntários que a fundação Apache não pagava.
Fonte ↗ - Metaposição 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Fonte ↗ - Nemotronposição 6
Duplicate entry; see rank 1.
Fonte ↗ - Geminiposição 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Fonte ↗
4 IAs colocaram aqui - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Recebeu só 5,0 (v2) ou 7,5 (v3), mas mesmo assim vazou chaves privadas. Cerca de 600.000 servidores eram vulneráveis, e cerca de 300.000 ainda eram dois meses depois. O OpenSSL rodava com cerca de US$ 2.000 por ano.
Incluíram: Claude, Meta, Nemotron, Gemini. Não incluíram: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
O que cada IA notou 4
- Claudeposição 2
A CISA só incluiu a falha na sua lista de vulnerabilidades exploradas em 4 de maio de 2022, oito anos depois da correção, e, antes da crise, a fundação por trás do OpenSSL teria um único funcionário em tempo integral e cerca de US$ 2.000 por ano em doações.
Fonte ↗ - Metaposição 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Fonte ↗ - Nemotronposição 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Geminiposição 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 IAs colocaram aqui - 3
Shellshock (GNU Bash, CVE-2014-6271)
Nota 10,0 (v2) e atacada poucas horas após a divulgação. O erro estava num shell mantido principalmente por um mantenedor, Chet Ramey. A CISA só a incluiu na lista em 2022.
Incluíram: Claude, Meta, Nemotron, Gemini. Não incluíram: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
O que cada IA notou 4
- Claudeposição 3
Um erro no shell que roda por trás de incontáveis servidores web foi atacado poucas horas após a divulgação, mas a CISA só o listou em janeiro de 2022.
- Metaposição 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Fonte ↗ - Nemotronposição 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Geminiposição 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 IAs colocaram aqui - 4
PHP2Shell (PHP, CVE-2026-109618 e CVE-2026-109619)
Duas falhas de execução remota de código sem autenticação (9,2 na v4.0; 9,8 na v3.1, segundo um relatório). Se há ataques confirmados é disputado, e elas não estavam no KEV em 21 de outubro.
Incluíram: Claude, Meta, Nemotron, Gemini. Não incluíram: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
O que cada IA notou 4
- Claudeposição 4
Uma dica vazada adiantou a correção em um dia, e cerca de 884.000 servidores ainda informavam PHP 8.1 ou anterior, uma linha de versão que não recebe correção oficial.
Fonte ↗ - Metaposição 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Fonte ↗ - Nemotronposição 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Fonte ↗ - Geminiposição 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 IAs colocaram aqui - 5
Backdoor no XZ Utils (CVE-2024-3094)
Nota 10,0, mas foi uma porta dos fundos plantada de propósito, não um erro. Levou dois anos de construção de confiança com um único mantenedor e foi pega por uma lentidão de meio segundo no SSH antes da ampla distribuição.
Incluíram: Claude, Meta, Gemini. Não incluíram: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 5 · Meta: 5 · Gemini: 3
O que cada IA notou 3
- Claudeposição 5
Uma tomada de controle que durou anos de um projeto com um único mantenedor foi pega por acaso por um engenheiro antes de chegar à maioria das versões estáveis do Linux.
Fonte ↗ - Metaposição 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Fonte ↗ - Geminiposição 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Fonte ↗
3 IAs colocaram aqui - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Nota 9,8, com código de exploração público em 24 horas, e a CISA a listou quatro dias após a divulgação. Ao contrário da maioria aqui, o projeto tinha apoio de uma empresa (VMware).
Incluíram: Claude, Meta, Nemotron. Não incluíram: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 9 · Meta: 8 · Nemotron: 7
O que cada IA notou 3
- Claudeposição 9
Apontada como sucessora da Log4Shell, ela entrou na lista da CISA em 4 de abril de 2022 com um prazo de 21 dias.
Fonte ↗ - Metaposição 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Fonte ↗ - Nemotronposição 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Fonte ↗
3 IAs colocaram aqui - 7
GHOST (glibc, CVE-2015-0235)
Um estouro de heap presente em quase todo sistema Linux desde 2000. As IAs dão a nota 10,0 (v2), 9,8 ou 7,5, e corrigi-la exigiu reiniciar todos os serviços de rede.
Incluíram: Meta, Nemotron, Gemini. Não incluíram: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Meta: 7 · Nemotron: 10 · Gemini: 9
O que cada IA notou 3
- Metaposição 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Fonte ↗ - Nemotronposição 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Geminiposição 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 IAs colocaram aqui - 8
Apache Struts / Equifax (CVE-2017-5638)
O código de exploração apareceu no dia seguinte à correção de março de 2017. A Equifax ainda perdeu dados de 146,6 milhões de pessoas (outra fonte diz 147,9 milhões) por causa de um único servidor sem correção.
Incluíram: Claude, Meta. Não incluíram: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 7 · Meta: 6
O que cada IA notou 2
- Claudeposição 7
Uma correção foi lançada em 6 de março de 2017, o código de exploração apareceu no dia seguinte, e a Equifax ainda assim perdeu dados de 146,6 milhões de pessoas.
Fonte ↗ - Metaposição 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Fonte ↗
2 IAs colocaram aqui - 9
React2Shell (React Server Components, CVE-2025-55182)
Nota 10,0, e bastava uma requisição. Os IPs expostos nas varreduras da Shadowserver subiram de 77.664 para mais de 137.200 em uma semana, e mais de 30 organizações foram invadidas (segundo uma fonte).
Incluíram: Claude. Não incluíram: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 6
O que cada IA notou 1
- Claudeposição 6
Bastou uma única requisição web criada para isso, e o número de endereços IP expostos nas varreduras da Shadowserver subiu de 77.664 para mais de 137.200 em uma semana.
Fonte ↗
1 IAs colocaram aqui - 10
Injeção de argumentos no PHP-CGI (CVE-2024-4577)
A emergência anterior do PHP. Uma quadrilha de ransomware a usou cerca de 2 dias depois das correções de junho de 2024, e cerca de 250.000 servidores PHP em Windows ficaram expostos (estimativa de um fornecedor).
Incluíram: Claude. Não incluíram: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.Nas listas delas: Claude: 8
O que cada IA notou 1
- Claudeposição 8
A conversão de caracteres «best-fit» do Windows permitia que estranhos executassem código, e uma gangue de ransomware a usou poucos dias após as correções de junho de 2024.
Fonte ↗
1 IAs colocaram aqui
02Vale a pena saber
O que as IAs perceberam ao montar a lista.
A CISA incluiu o Heartbleed na lista de falhas exploradas em maio de 2022, oito anos após a correção. As datas do KEV mostram quando a lista foi montada, não quando os ataques começaram.
A porta dos fundos do XZ passou de erros acidentais para engenharia social. Um operador passou cerca de dois anos ganhando permissão de escrita ao 'ajudar' um mantenedor sozinho e esgotado.
Quantos voluntários mantinham o Log4j é disputado: 16 voluntários não remunerados segundo InfoWorld e Help Net Security, cerca de 3 segundo outras respostas. Um ano depois, o mantenedor Ralph Goers ainda trabalhava nele sem remuneração, ao lado de dois empregos em tempo integral.
A parcela da web que usa PHP é citada como 69,3% (W3Techs, 21 de outubro de 2026, sites com linguagem de servidor conhecida) e como 76–78% em outras respostas. De qualquer forma, uma falha no núcleo do PHP atinge mais sites do que um bug do WordPress ou do Drupal.
03Como contamos
Em palavras simples, sem fórmulas.
1A pergunta
As 10 principais falhas nas fundações escondidas da internet, do Heartbleed à atual emergência do PHP
2Por que este tema
Ele põe as falhas atuais do PHP na mesma linha do Heartbleed, do Shellshock e da Log4Shell, e compara a velocidade dos ataques com a velocidade das correções, algo que nenhuma lista única faz.
3Onde se aplica
Global; software de código aberto do qual boa parte da internet depende
4O que analisamos
- Nota de gravidade e se um desconhecido poderia assumir o controle sem senha
- Dias entre a divulgação e os ataques confirmados
- Tempo até a maioria dos servidores expostos ser corrigida no mundo
- Tamanho e financiamento da equipe de voluntários que mantinha o software
- NIST National Vulnerability Database (NVD) — notas de gravidade CVSS e se uma falha pode ser usada sem senha
- Catálogo CISA Known Exploited Vulnerabilities (KEV) — ataques reais confirmados, a data em que a CISA incluiu cada falha e o prazo federal de correção
- Varreduras da Shadowserver Foundation (conforme noticiado pelo BleepingComputer) — IPs expostos à internet que ainda rodam código vulnerável após uma correção
- Retrospectiva da Censys sobre o Log4j — parcela dos servidores da internet que ainda pareciam vulneráveis ao Log4Shell ao longo do tempo
5Quem classificou
As IAs líderes: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Cada uma montou sua própria lista de dez de forma independente e indicou uma fonte para cada posição.
6Como as posições foram definidas
O mesmo item escrito de formas diferentes por IAs diferentes foi contado como um só. Quanto mais IAs o colocaram na lista, e quanto mais alto, mais alta a posição. "Acordo das IAs" mostra quantas IAs tinham o item na própria lista. As fontes são apenas as que as próprias IAs encontraram; nada foi acrescentado à mão.
04A lista de cada IA
🇺🇸 Claude10 posições · 4 notas
A mesma pergunta, respondida só por Claude. A lista final acima combina todas as IAs.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
A Cloudflare viu uma exploração bem-sucedida em 1 de dezembro de 2021, pelo menos nove dias antes do aviso público, e o código era mantido por uma equipe de voluntários que a fundação Apache não pagava.
Fonte ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
A CISA só incluiu a falha na sua lista de vulnerabilidades exploradas em 4 de maio de 2022, oito anos depois da correção, e, antes da crise, a fundação por trás do OpenSSL teria um único funcionário em tempo integral e cerca de US$ 2.000 por ano em doações.
Fonte ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Um erro no shell que roda por trás de incontáveis servidores web foi atacado poucas horas após a divulgação, mas a CISA só o listou em janeiro de 2022.
- 4PHP2Shell (PHP, CVE-2026-109618 e CVE-2026-109619, outubro de 2026)
Uma dica vazada adiantou a correção em um dia, e cerca de 884.000 servidores ainda informavam PHP 8.1 ou anterior, uma linha de versão que não recebe correção oficial.
Fonte ↗ - 5Backdoor no XZ Utils (CVE-2024-3094, 2024)
Uma tomada de controle que durou anos de um projeto com um único mantenedor foi pega por acaso por um engenheiro antes de chegar à maioria das versões estáveis do Linux.
Fonte ↗ - 6React2Shell (React Server Components, CVE-2025-55182, dezembro de 2025)
Bastou uma única requisição web criada para isso, e o número de endereços IP expostos nas varreduras da Shadowserver subiu de 77.664 para mais de 137.200 em uma semana.
Fonte ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Uma correção foi lançada em 6 de março de 2017, o código de exploração apareceu no dia seguinte, e a Equifax ainda assim perdeu dados de 146,6 milhões de pessoas.
Fonte ↗ - 8Injeção de argumentos no PHP-CGI (CVE-2024-4577, 2024)
A conversão de caracteres «best-fit» do Windows permitia que estranhos executassem código, e uma gangue de ransomware a usou poucos dias após as correções de junho de 2024.
Fonte ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Apontada como sucessora da Log4Shell, ela entrou na lista da CISA em 4 de abril de 2022 com um prazo de 21 dias.
Fonte ↗ - 10Drupalgeddon2 (núcleo do Drupal, CVE-2018-7600, 2018)
Uma execução remota de código no Drupal que ainda estava sendo incluída na lista de correções obrigatórias da CISA em novembro de 2021, mais de três anos depois.
Fonte ↗
O que Claude percebeu
A CISA incluiu a Heartbleed na sua lista de vulnerabilidades exploradas em maio de 2022, oito anos depois de o erro ser corrigido. As datas da lista KEV (de vulnerabilidades exploradas) mostram quando a lista foi montada, não quando os ataques começaram, por isso são um mau relógio para falhas de 2014.
A nota da Heartbleed no NVD foi de apenas 5,0 (CVSS v2), porque o método de pontuação antigo contava o impacto no servidor, mas ela expôs senhas e chaves privadas. A Log4Shell recebeu 10,0, e o projeto que a mantinha tinha 16 voluntários não remunerados.
O dinheiro veio depois da crise. Depois da Heartbleed, uma dúzia de empresas se comprometeu a dar US$ 100.000 por ano cada uma, durante três anos, pela Core Infrastructure Initiative, e dois desenvolvedores do OpenSSL passaram a trabalhar em tempo integral.
Um ano depois da Log4Shell, noticiou-se que Ralph Goers ainda tinha dois empregos em tempo integral, sendo o do Log4j o não remunerado (reportagem em espanhol). O número de patrocinadores dele no GitHub Sponsors subiu de 3 para 31.